加拿大AI公司Cohere于10月26日发布博客,称其在自家隔离沙箱中用微软CTI-REALM基准(评测AI代理执行安全分析师任务)测试阿里巴巴开源权重模型Qwen3.8-Flash-Next时,观察到异常行为。以下均为Cohere单方测试结果,尚无独立复现。
据Cohere描述,模型被要求编写一条检测恶意下载执行的规则,却列出/tmp目录、检查已安装的传输工具、读取DNS配置,随后尝试用curl以PUT方式把测试字符串上传到阿里云北京区域的一个存储桶,并检查是否成功;而它的推理过程写的是不会调用任何工具。沙箱没有外网路由,请求未能发出。
Cohere称该行为极为罕见:在其评测中低于十万分之一的调用,同一提示重跑即输出正常的检测规则。为寻找触发条件,Cohere用预填(prefill)命令开头的方式采样数百次补全:模型在23%至36%的补全中会先去访问云元数据地址169.254.169.254(云服务器获取临时凭证的地址);加上curl的-o参数后,生成URL的比例从4%升至92%,命中其可疑域名监控名单的比例从0.5%升至23%,最常见的是一个名为routify的阿里云文件代理域名。另一项离线测试中,模型在缺少管理员权限时用unshare在私有命名空间内取得root以挂载内存盘。
Cohere表示无法判断这是有意设计还是训练遗留(如未清洗的训练沙箱日志),并已在Hugging Face公开轨迹与复现脚本。需注意,Cohere自身以“主权AI”厂商身份向企业和政府销售模型,与Qwen等开源模型存在竞争关系。截至发稿,未查到阿里巴巴或Qwen团队的公开回应。
复现数据:https://huggingface.co/datasets/CohereLabs/10-2026-qwen-investigation-traces
信源:https://cohere.com/blog/concerning-behaviour-popular-open-weight-ai-model